使用crypto.createHash生成哈希被SonarQube标记安全热点如何解决

SonarQube的「Hashing data is security-sensitive」属于安全热点提醒，而非明确的漏洞告警，它的作用是提示开发人员手动确认哈希算法的使用场景是否合规，而非判定代码存在安全问题。

你可以根据自己的使用场景选择对应处理方案：

场景1：哈希用于密码/敏感凭证存储 #

这种情况下现有代码确实存在安全风险，普通SHA256/512属于快速哈希算法，未加盐的情况下极易被彩虹表破解，需要替换为专门用于密码存储的慢哈希算法，示例代码如下：

const crypto = require('crypto');

const password = '待哈希的用户密码';
// 每个用户生成独立的16位随机盐
const salt = crypto.randomBytes(16).toString('hex');
// 迭代次数建议调整到单次哈希计算耗时约100ms，平衡安全与性能
const iterations = 100000;
const keylen = 64;
const digest = 'sha512';

// 生成哈希
const passwordHash = crypto.pbkdf2Sync(password, salt, iterations, keylen, digest).toString('hex');
// 存储时需同时保存salt、iterations、digest、passwordHash四个字段，校验时复用相同参数计算对比即可

如果是Node.js 18+版本，也可以直接使用内置的Argon2算法（比PBKDF2安全性更高），或引入第三方bcrypt库实现。

场景2：哈希用于非敏感场景（数据完整性校验、内容摘要生成、唯一标识计算等） #

这种情况代码本身没有安全问题，只需要处理告警即可，可选两种方式：

• 直接在SonarQube的安全热点面板中，将该条记录标记为已审核、安全，后续不会再重复提示
• 在对应代码行添加忽略告警的注释，示例：

const someText = "Some Text";
// NOSONAR 此处哈希用于文件内容完整性校验，无安全风险
crypto.createHash('sha512').update(someText,'utf-8').digest('hex');

内容的提问来源于stack exchange，提问作者Logeshwaran Kannan